hur fyller jag i att vi återkallar åtkomst för avgående personal

Denna fråga tillhör åtkomstpolicy, inte HR-process

Detta faller under åtkomstpolicyn, inklusive hantering av affärstillgångar — inte under en separat HR-del. Den frågande parten vill veta om konton, lösenord och åtkomsträttigheter för avgående personal återkallas strukturellt, och om det sker inom en fast tidsfrist efter den sista arbetsdagen. Ett bra svar nämner tre saker: vem som utför återkallelsen (IT, HR eller en automatiserad process), inom vilken tidsfrist det sker, och om detta också gäller åtkomst till tredjepartssystem såsom molnapplikationer eller VPN.

Om det finns ett fast förfarande — till exempel: HR anmäler uppsägning, IT inaktiverar alla konton inom 24 timmar — kan "ja" underbyggas, förutsatt att denna process också faktiskt är dokumenterad och inte bara sker i praktiken. Om denna dokumentation saknas, eller om återkallelsen sker ad hoc utan fast tidsfrist, är "återstår att fastställa" det mer ärliga svaret: systemet föreslår detta så länge dossien saknar procedurbeskrivning eller bevisstöd, och företagaren bekräftar själv om han vill skärpa till innan han lämnar in. Ofta är detta en fråga om att dokumentera något som redan sker, i stället för att bygga upp en helt ny process.

Varför detta faller under åtkomsthantering: artikel 21 punkt 2 och bilaga A

Artikel 21 punkt 2 i NIS2-direktivet nämner åtkomstpolicy och hantering av affärstillgångar som ett av tio obligatoriska åtgärder; återkallelse av åtkomst vid uppsägning är en direkt del av detta, eftersom ett fortsatt aktivt konto för en före detta anställd utgör en ohanterad åtkomstpunkt. ISO/IEC 27001 utvecklar detta vidare i bilaga A, där upphörande eller ändring av åtkomsträttigheter vid slutet av anställningsförhållandet återkommer som en separat kontrollmåttstab. För företag som själva omfattas av dessa reglers tillämpningsområde — detta beskrivs i frågan om företaget omfattas av direktivet eller den nationella genomförandet — är detta alltså ingen frivillig detalj, utan en del av de obligatoriska grundläggande åtgärderna.